Terug naar kennisbank

Vulnerability management uitbesteden: wanneer het slim is, wat u eist en wat bij u blijft

Gepubliceerd op 25 augustus 2026 · Bijgewerkt op 29 oktober 2026

Bij veel middelgrote organisaties ziet het er zo uit: er komen meer dan honderd nieuwe kwetsbaarheden per dag bij, de omgeving verandert wekelijks, en er is één persoon die dit "erbij" doet. Op zo'n moment komt de vraag boven of vulnerability management uitbesteden verstandiger is dan het zelf blijven aanmodderen. Het antwoord is genuanceerder dan een verkoper u vertelt, want een deel van dit proces laat zich overdragen en een ander deel blijft principieel bij uzelf.

Dit artikel legt uit wat u wel en niet kunt uitbesteden, wanneer het een goede keuze is, waar u bij een aanbieder op let, en welke verantwoordelijkheid onder NIS2 en de Cyberbeveiligingswet hoe dan ook bij u blijft.

Wat vulnerability management uitbesteden precies inhoudt

Vulnerability management is het doorlopende proces waarmee u kwetsbaarheden ontdekt, prioriteert op risico, herstelt en het herstel verifieert, en dat blijft herhalen. Het NCSC schrijft dit als "kwetsbaarhedenbeheer"; in de markt heet het vaak kwetsbaarheidsbeheer. Uitbesteden betekent dat u een of meer stappen uit die cyclus belegt bij een externe partij in plaats van ze volledig zelf te draaien. Het volledige proces staat beschreven in ons artikel over kwetsbaarheidsbeheer; dit stuk gaat over de vraag welk deel u kunt overdragen.

Belangrijk om vooraf scherp te hebben: kwetsbaarhedenbeheer is breder dan het externe aanvalsoppervlak alleen. Het omvat ook geauthenticeerde scans binnen uw netwerk, CVE-beheer op werkplekken en servers, en de configuratie van uw cloudomgeving. Wat zich in de praktijk het eenvoudigst laat uitbesteden, is de externe meetkant: alles wat vanaf het internet zichtbaar is, periodiek in kaart gebracht vanuit het perspectief van de aanvaller. Dat heet ook wel extern aanvalsoppervlak of EASM. Die externe meting is een belangrijk deel van kwetsbaarhedenbeheer, en het vervangt de interne scope niet. Wie de externe meting uitbesteedt, heeft daarmee dus niet zijn hele kwetsbaarhedenbeheer geregeld.

Die externe meetkant is ook wat doorlopende vulnerability monitoring levert. De cyclus kent daarnaast stappen die alleen ú kunt zetten, en het onderscheid tussen die twee is de kern van een verstandig uitbestedingsbesluit. Wie dat onderscheid negeert, koopt een dienst in de verwachting dat het probleem daarmee weg is, en ontdekt bij de eerste bevinding dat het echte werk pas dan begint.

Wat u wél kunt uitbesteden

De externe meetkant leent zich goed voor uitbesteding, om een praktische reden: het is repetitief, gespecialiseerd en gebaat bij continuïteit. Een externe dienst neemt vier taken over.

1. Ontdekking en detectie. Een aanbieder brengt periodiek in kaart wat er van u aan het internet hangt, inclusief vergeten systemen, en onderzoekt dat op bekende kwetsbaarheden en configuratiefouten. Dat gebeurt geautomatiseerd en op een vaste cadans.
2. Technische prioritering. Vraag of de dienst meeweegt of een kwetsbaarheid daadwerkelijk in de praktijk wordt misbruikt, zodat de spoed op de juiste bevindingen komt. Die technische weging (met exploitkans en blootstelling naast de ernstscore) is uit te besteden; hoe die werkt, leest u in EPSS en KEV uitgelegd. De finale weging naar bedrijfsrisico vraagt uw eigen context en blijft bij u.
3. Herstelverificatie. Nadat uw team een gat heeft gedicht, kan een externe herscan onafhankelijk bevestigen dát de kwetsbaarheid werkelijk weg is. Die bevestiging van buitenaf heeft meer bewijswaarde dan het interne team dat zijn eigen herstel afvinkt.
4. Rapportage. Gedateerde, herleidbare rapportages in taal die ook buiten de IT-afdeling begrepen wordt, bruikbaar richting directie, klant en auditor.

De winst zit niet alleen in tijd. Een externe partij ziet meer omgevingen en houdt de techniek actueel, terwijl een interne specialist die dit naast ander werk doet, eerder achterloopt op het tempo waarmee nieuwe kwetsbaarheden verschijnen. In 2025 werden er ruim 48.000 CVE's gepubliceerd, meer dan honderd per dag. Dat tempo bijhouden is een vak op zich.

Wat altijd bij u blijft

Hier zit het onderscheid dat een aanbieder vooraf hoort te benoemen. Drie verantwoordelijkheden zijn principieel niet overdraagbaar.

De eerste is het eigenaarschap van herstel. Een aanbieder kan meten dat een systeem kwetsbaar is, maar alleen uw eigen IT-team of hostingpartij kan het patchen, herconfigureren of uitzetten. De detectie is uit te besteden, het dichten van het gat blijft een handeling in uw eigen omgeving. Het herstel zelf vereist toegang tot uw systemen, en die houdt u in eigen hand.

De tweede is kennis van uw eigen omgeving. Een externe partij ziet wat aan het internet hangt, zonder te weten welk systeem uw facturatie draait en welk subdomein een oude campagnepagina is die morgen weg mag. Die context bepaalt hoe erg een bevinding werkelijk is, en die context zit bij u. De aanbieder levert de meting, u levert de betekenis.

De derde is de zorgplicht zelf. Onder NIS2 en de Cyberbeveiligingswet blijft het bestuur eindverantwoordelijk voor het beheersen van de risico's, ook wanneer de uitvoering bij een leverancier ligt. U kunt het werk uitbesteden, de aansprakelijkheid niet. Dat maakt uitbesteden een manier om aantoonbaar aan de verplichting te voldoen, zolang u de regie zelf houdt.

Uitbesteden, NIS2 en de Cyberbeveiligingswet

De Cyberbeveiligingswet is sinds 15 augustus 2026 zonder algemene overgangstermijn van kracht, en de onderliggende NIS2-richtlijn stelt de zorgplicht doorlopend: risico's beheersen is een blijvende verplichting waarop het bestuur toeziet. Nergens in die regelgeving staat dat u vulnerability management moet uitbesteden, en geen enkele tool of dienst is bij naam verplicht.

Wel maakt uitbesteden het aantonen vaak eenvoudiger, en daar zit het verschil dat er in de praktijk toe doet. Een ingevulde leveranciersvragenlijst is een bewering op papier. Een reeks gedateerde, maandelijkse rapportages van een externe meting is bewijs dat de controle werkelijk en herhaald plaatsvindt. Dat onderscheid tussen papier en meting is de reden dat organisaties de meetkant overdragen aan een onafhankelijke partij: een meting die los staat van wie de systemen beheert, weegt zwaarder als bewijs dan een zelfverklaring. Scannen levert de meting; de compliance bouwt u er zelf omheen, met die meting als bouwsteen in uw eigen verhaal.

Let op één valkuil. Uitbesteden aan een leverancier maakt die leverancier zelf onderdeel van uw keten. De vraag "hoe toont mijn aanbieder aan dat híj zijn zaken op orde heeft" is dan terecht, en een serieuze partij legt zichzelf langs dezelfde meetlat: eigen meting, eigen bewijs, in plaats van een geruststelling. Zo blijft de onafhankelijkheid die u inkoopt ook aan de kant van de aanbieder controleerbaar.

Waar u op let bij een aanbieder

Begin bij de meetkwaliteit. Vier vragen helpen een volwaardige dienst te herkennen:

1. Ontdekt de aanbieder uw volledige aanvalsoppervlak, of alleen wat u opgeeft? Een dienst die uitgaat van uw eigen lijst mist per definitie de vergeten systemen, en juist daar zit vaak het risico. Ontdekking hoort onderdeel te zijn van de dienst.
2. Is de cadans doorlopend en vast? Een eenmalige of jaarlijkse scan is een momentopname die snel veroudert. Vraag naar wekelijkse of maandelijkse herhaling, zodat het beeld meebeweegt met nieuwe kwetsbaarheden en met veranderingen in uw omgeving.
3. Is de rapportage bruikbaar als bewijs? Gedateerd, herleidbaar en leesbaar buiten de IT-afdeling. Zonder dat is de meting stuurloos en als bewijsstuk zwak.
4. Is de onderliggende techniek controleerbaar? Bij transparante, controleerbare techniek kunt u nagaan hóe er gemeten wordt; bij een gesloten systeem gelooft u de aanbieder op zijn woord.

Naast de meetkwaliteit spelen de zakelijke voorwaarden, en juist die worden bij het vergelijken vaak overgeslagen. Een externe partij verwerkt gegevens over uw infrastructuur namens u en wordt daarmee verwerker in de zin van de AVG, dus een verwerkersovereenkomst en duidelijkheid over de datalocatie horen bij de afspraken. Leg ook reactietijden vast, en een exit waarbij u uw historische meetgegevens meeneemt, zodat u niet vastzit aan één aanbieder om de opgebouwde bewijslijn te behouden.

Op het punt van controleerbare techniek kleuren wij onze eigen keuze. Exposentry is gebouwd op OpenKAT, het open-source scanplatform dat oorspronkelijk in opdracht van de Nederlandse overheid is ontwikkeld. Edward Hasekamp van Hasecon draagt als collaborator bij aan de upstream-repository van OpenKAT. Dat de motor open en inzichtelijk is, betekent dat de manier waarop gemeten wordt, is na te lopen.

In-house of uitbesteden: de afweging

Zelf doen is verdedigbaar wanneer u een securityteam met capaciteit en actuele kennis heeft, en wanneer kwetsbaarhedenbeheer bij de kerntaken hoort. Bij organisaties zonder eigen securityteam, waar het beheer op één overbelaste IT-kracht rust, verschuift de vraag: dan gaat het er minder om of het intern beter kan, en meer om of het intern überhaupt structureel gebeurt.

Reken het af tegen elkaar. Intern betekent tooling aanschaffen en beheren, iemand vrijmaken om bevindingen wekelijks te wegen, en de rapportage zelf onderhouden. Uitbesteden verplaatst dat naar een vaste maandelijkse post, met continuïteit die blijft doorlopen als de betreffende collega op vakantie of uit dienst gaat. Ter indicatie, bij aanbieders van doorlopende monitoring: dat kost honderden euro's per maand, een eenmalige nulmeting enkele honderden euro's. Heeft u geen team met capaciteit, dan valt die rekensom vaak uit naar het overdragen van de externe meetkant, terwijl herstel en regie intern blijven. Wat een externe dienst kost, ziet u bij de pakketten.

De overstap in de praktijk

Uitbesteden begint doorgaans met een nulmeting: de aanbieder inventariseert wat er van u aan het internet zichtbaar is, inclusief systemen die u zelf niet meer op het netvlies had. U levert daarvoor uw domeinnamen aan en bevestigt dat u eigenaar bent, zodat er alleen gemeten wordt wat van u is. Die eerste meting geeft een startbeeld; daarna gaat de dienst over in een vaste cadans. De opbouw is bewust klein te houden: begin met de nulmeting, en breid pas uit als het startbeeld daar aanleiding toe geeft.

Veelgemaakte fouten bij uitbesteden

Uitbesteden gaat mis op een paar herkenbare punten:

• Denken dat de zorgplicht meeverhuist. De uitvoering gaat over, de eindverantwoordelijkheid van het bestuur blijft. Wie dat verwart, staat bij een incident met lege handen.
• Geen herstelloop beleggen. Een aanbieder levert bevindingen; als intern niemand eigenaar is van het herstel, stapelen de rapporten zich op zonder dat er iets dichtgaat.
• Een eenmalige scan als "monitoring" kopen. Zonder vaste cadans is het een momentopname, geen doorlopend beeld.
• De verwerkersovereenkomst overslaan. Dan verwerkt een externe partij uw gegevens zonder de afspraken die de AVG vereist.

Conclusie

Vulnerability management uitbesteden werkt wanneer u helder houdt wat u overdraagt en wat niet. De externe meting, de detectie, de technische prioritering, de herstelverificatie en de rapportage laten zich goed beleggen bij een gespecialiseerde partij die er continuïteit en actuele techniek in brengt. Het herstel, de kennis van uw omgeving en de zorgplicht blijven bij u. Wie die grens scherp trekt, koopt een werkende bouwsteen onder aantoonbaar risicobeheer in plaats van een vals gevoel van veiligheid.

Exposentry levert die externe meetkant als dienst: doorlopende scans van uw externe aanvalsoppervlak op basis van OpenKAT, met maandelijkse, forensisch onderbouwde rapportages die u als bewijsstuk in uw eigen dossier opneemt. U kunt klein beginnen: start met een nulmeting die inventariseert wat er van u aan het internet hangt, en laat die overgaan in een vaste maandelijkse cadans. Bekijk de pakketten of begin met een nulmeting om te zien waar u nu staat.

Bronnen

• NCSC, "Kwetsbaarhedenbeheer", ncsc.nl
• CVE Program / NIST NVD, jaaroverzicht gepubliceerde CVE's 2025 (48.174, ruim 48.000), zie het CVE-jaaroverzicht 2025 op jerrygamblin.com en cve.org
• Rijksoverheid, "Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht", rijksoverheid.nl
• NIS2-richtlijn (EU) 2022/2555, artikel 20 (governance, verantwoordelijkheid bestuursorganen) en artikel 21 (maatregelen risicobeheer), eur-lex.europa.eu
• OpenKAT, open-source scanplatform, oorspronkelijk ontwikkeld in opdracht van de Nederlandse overheid, openkat.nl

Geschreven door Edward Hasekamp, oprichter van Exposentry en collaborator op het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.